2

最新のRails、Nginxで、SSLを使用しています。BREACH, CRIMEのセキュリティ的な問題から、Nginxのgzipをオフにしているのですが、gzip_types で text/css や application/javascript だけなら、利用しても大丈夫なのでしょうか?

1 件の回答 1

1

それらは、「ユーザーが制御可能な文字列」と「秘密の文字列」の両方がレスポンスに含まれる時に、二つの文字列が一致するかどうかで圧縮後のサイズが変化することを利用した攻撃です。

このような挙動を示すかどうかが重要であり、レスポンスの形式は関係ありません。動的に生成する場合、 CSS や Javascript であっても同様に注意が必要です。

もしあなたが「このMIMEタイプは動的に生成することはない」と言い切れるのであれば、そのような設定でも構わないように思います。

参考 SSL暗号を無効化する仕組み – BREACH, CRIME, etc | yohgaki's blog

1
  • なるほど!勉強になりましたm(__)mありがとうございます!
    – akm
    2015年6月3日 13:04

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。